Het ondertekenen van een PDF op uw eigen persoonlijke apparaat is eenvoudig en u behoudt de controle over uw gegevens. Het ondertekenen van een handtekening op een bibliotheekcomputer, de terminal van een hotelzakencentrum, een werkstation in een vergaderruimte of een gedeelde kantoorcomputer introduceert een privacyprobleem dat de meeste mensen volledig over het hoofd zien: uw handtekeningafbeelding, eenmaal geplaatst in een PDF, kan meerdere herstelbare sporen achterlaten op het apparaat dat u hebt gebruikt. Deze sporen blijven bestaan lang nadat u het browsertabblad hebt gesloten, uitlogt bij de sessie en wegloopt van het toetsenbord.
De meeste gebruikers zien dit risico volledig over het hoofd.
Hoe handtekeninggegevens achterblijven op gedeelde computers
Die extra minuut is altijd de moeite waard.
Wanneer u een tool Sign PDF op een gedeelde computer gebruikt, verdwijnt de handtekeningafbeelding die u uploadt of tekent niet zomaar wanneer u het browservenster sluit. Moderne besturingssystemen en webbrowsers cachen bestandsuploads, slaan tijdelijke verwerkingskopieën van documenten op meerdere locaties op en bewaren miniatuurvoorbeelden in mappen die gewone gebruikers nooit onderzoeken en die standaard uitlogprocedures voor gebruikers niet opschonen. Elk van deze bewaarpunten slaat een kopie van uw handtekeninggegevens op in een vorm die de volgende persoon die die computer gebruikt mogelijk kan herstellen.
De browsercache is het primaire en meest toegankelijke gegevensretentiepunt. Wanneer u een handtekeningafbeeldingsbestand uploadt om in een PDF te plaatsen, slaat de browser een volledige kopie van dat bestand op in de cachemap voordat het wordt doorgegeven aan de webapplicatie. Op Windows-systemen bevindt deze cache zich onder de AppData-mapstructuur van het gebruikersprofiel. Op Mac-systemen bevindt het zich in de map Caches in de map Gebruikersbibliotheek. Zelfs nadat u het ondertekeningsproces hebt voltooid en de browser volledig hebt gesloten, blijft het in de cache opgeslagen handtekeningbestand op de schijf staan. Het is mogelijk dat de opschoningsroutines van de browsercache deze gedurende dagen of weken niet verwijderen, afhankelijk van het geconfigureerde cachebewaarbeleid van de browser en de beschikbare schijfruimte.
Browsergebaseerde PDF Security-tools die reclame maken voor het verwerken van bestanden die volledig in het geheugen staan, verminderen dit risico op het bewaren van gegevens, maar elimineren dit niet. Hoewel het hulpprogramma zelf mogelijk afziet van het schrijven van uw geüploade PDF naar schijf als een permanent bestand, kan het eigen geheugenbeheer van de browser geheugenpagina's met uw documentgegevens omwisselen naar het schijfwisselbestand wanneer het systeemgeheugen onder druk komt te staan van andere toepassingen. Deze swapgegevens, opgeslagen in het systeempaginabestand op Windows of de swappartitie op Mac en Linux, kunnen coherente fragmenten bevatten van uw handtekeningafbeelding en de PDF-inhoud zelf. Iedereen met beheerderstoegang tot de machine kan deze fragmenten extraheren met behulp van forensische tools.
De tijdelijke directory van het besturingssysteem is een extra en vaak over het hoofd gezien blootstellingspunt. Veel PDF-verwerkingstools, zowel browsergebaseerd als lokaal geïnstalleerd, schrijven tijdens de verwerking tijdelijke werkkopieën van documenten naar de tijdelijke map van het systeem. Deze tools verwijderen doorgaans hun tijdelijke bestanden wanneer de verwerking is voltooid, maar bij het standaard verwijderen van bestanden worden de daadwerkelijke gegevens op de fysieke schijf niet overschreven. Het markeert alleen de schijfruimte als beschikbaar voor hergebruik door toekomstige schrijfbewerkingen. Totdat die specifieke schijfruimte daadwerkelijk opnieuw wordt gebruikt, blijft het verwijderde tijdelijke bestand met uw handtekening volledig herstelbaar met elk gratis hulpprogramma voor gegevensherstel.
Sessieopschoning versus permanente gegevensverwijdering: wat daadwerkelijk wordt verwijderd
Het wissen van de browsergeschiedenis en het sluiten van de browser geeft een vals en potentieel gevaarlijk gevoel van veiligheid. In de onderstaande tabel wordt onderscheid gemaakt tussen wat een standaard uitlogroutine daadwerkelijk verwijdert en wat deze op een gedeelde computer achterlaat zodat de volgende gebruiker of een beheerder dit kan ontdekken.
| Gegevenslocatie | Uitloggen Verwijdert? | Geschiedenis Wissen Verwijdert? | Handmatig verwijderen nodig? |
|---|---|---|---|
| Browserdownloadgeschiedenisinvoer | Nee | Ja | Nee |
| Geüpload bestand in browsercache | Nee | Afhankelijk van instellingen | Vaak wel |
| PDF-tijdelijke bestanden in de tijdelijke map van het besturingssysteem | Nee | Nee | Ja |
| Miniatuurvoorbeelden in verkenner | Nee | Nee | Ja |
| Inhoud klembord | Ja (vluchtig; verdwijnt bij afsluiten) | Nee | Nee |
| Geheugenwissel-/paginabestandgegevens | Nee | Nee | Ja; heeft een veilige overschrijving nodig |
Het wissen van de browsergeschiedenis, zelfs de meest grondige optie, waaronder het verwijderen van afbeeldingen en bestanden in de cache, bereikt niet op betrouwbare wijze de tijdelijke mappen van het besturingssysteem. De tijdelijke bestanden die tijdens PDF-verwerkingsbewerkingen worden gemaakt, vallen volledig buiten het controledomein van de browser en worden uitsluitend bepaald door het eigen opschoonschema voor tijdelijke bestanden van het besturingssysteem, dat sterk varieert per platform, per configuratie en hoe recent het systeem opnieuw is opgestart. Een gedeelde computer die wekenlang is blijven draaien zonder opnieuw op te starten, kan tijdelijke bestanden van tientallen of zelfs honderden eerdere gebruikers verzamelen.
Een praktische sessieworkflow voor het ondertekenen van PDF's op gedeelde computers
Het volgen van een gestructureerde sessieworkflow verkleint aanzienlijk het risico dat herstelbare handtekeningsporen achterblijven op een gedeeld apparaat. Deze workflow is ontworpen om praktisch genoeg te zijn om in praktijksituaties te volgen, of u nu tijdens een zakenreis een computer in een zakencentrum van een hotel, een terminal in een openbare bibliotheek of een werkstation in een coworking-ruimte gebruikt dat u niet beheert.
Voordat u het handtekeningproces start, moet u controleren of de browser in de privé- of incognitomodus werkt. Privé-browsesessies schrijven alle cachegegevens naar vluchtige, sessiegerichte opslag die de browser automatisch verwijdert wanneer de privésessie eindigt. Deze enkele voorbereidende stap elimineert de browsercache volledig als een vector voor het bewaren van handtekeninggegevens. Bevestig dat de privémodus actief is door te zoeken naar de privémodusindicator van de browser, meestal een venster met een donker thema of een maskerpictogram, voordat u naar een PDF-ondertekeningstool navigeert.
Gebruik een methode voor het maken van handtekeningen waarbij u geen afbeeldingsbestand vanaf de lokale computer hoeft te uploaden. Als u uw handtekening rechtstreeks in het browservenster tekent met een muis, trackpad of touchscreen, wordt er geen uploadcache-item gegenereerd omdat er geen bestandsoverdracht plaatsvindt. Als er geen tekeninvoeroptie beschikbaar is in het hulpmiddel dat u gebruikt, kunt u een getypte handtekening maken met behulp van een van de cursieve scriptlettertypen die de meeste hulpmiddelen voor PDF-ondertekening bieden. Dankzij de optie voor getypte handtekeningen is het niet meer nodig om tijdens de ondertekeningssessie een afbeeldingsbestand te verwerken.
Nadat u de PDF heeft ondertekend en het voltooide ondertekende document met succes heeft gedownload, beëindigt u de privé-browsingsessie onmiddellijk in plaats van alleen het tabblad te sluiten. Gastprofielen zorgen voor een sterkere isolatie. Sluit elk browservenster dat aan de privésessie is gekoppeld om de sessieopruimingsroutine van de browser te activeren. Met deze actie worden alle sessiegerichte cachegegevens uit de vluchtige opslag verwijderd, inclusief de verwerkingswerkruimte in het geheugen die de PDF-tool gebruikte tijdens de ondertekeningsbewerking.
Als de configuratie van de gedeelde computer u toegang geeft tot het bestandssysteem, navigeert u naar de tijdelijke map van het besturingssysteem en controleert u of er geen PDF-gerelateerde tijdelijke bestanden achterblijven. Op Windows-systemen is het pad toegankelijk door %TEMP% in de adresbalk van de bestandsverkenner te typen. Op Mac-systemen controleer je zowel /tmp als de map ~/Library/Caches. Hoewel deze handmatige verificatiestap ongeveer één minuut aan uw workflow toevoegt, biedt deze de enige directe bevestiging dat de machine geen artefacten bij de documentverwerking heeft voordat u wegloopt.
Aanvullende privacymaatregelen voor zeer gevoelige handtekeningen
Voor handtekeningen die zijn toegepast op juridisch bindende contracten, documenten die persoonlijke identificatienummers bevatten, of elk bestand waarin de handtekening kan worden misbruikt als deze wordt hersteld, is een extra laag van voorzorgsmaatregelen die verder gaat dan de basissessieworkflow gerechtvaardigd. De implicaties van PDF Privacy reiken verder dan de handtekeningafbeelding zelf en omvatten de volledige documentinhoud die door de handtekening wordt geverifieerd en verbonden is met uw identiteit.
Als de gedeelde computer een gastaccount of een tijdelijke gebruikersprofieloptie biedt, gebruik deze dan in plaats van een gedeeld algemeen aanmeldingsaccount. De gastprofielfunctionaliteit op zowel Windows- als Mac-besturingssystemen isoleert alle browsergegevens, tijdelijke bestanden, downloads en in de cache opgeslagen inhoud in een profielmap die het besturingssysteem automatisch in zijn geheel verwijdert wanneer de gastsessie eindigt. Deze gegevensisolatie op profielniveau is aanzienlijk sterker dan isolatie op browserniveau, omdat deze elke toepassing op het systeem omvat, en niet alleen de webbrowser.
WukongPDF verwerkt alle geüploade bestanden volledig binnen de toegewezen geheugenruimte van de browser en schrijft op geen enkel moment tijdens de ondertekeningsworkflow tijdelijke verwerkingsbestanden naar de tijdelijke directory van het besturingssysteem. Gecombineerd met een correct geconfigureerde privé-browsesessie, reduceert deze architectuur de herstelbare gegevensvoetafdruk op een gedeelde computer tot bijna nul, waardoor het een praktische en veilige keuze is voor het ondertekenen van PDF's in gedeelde computeromgevingen waar de gebruiker geen volledige administratieve controle over het apparaat heeft.
Het klembord is een andere retentievector die specifieke aandacht verdient bij gedeelde computerondertekeningsworkflows. Als u uw handtekeningafbeelding naar het klembord kopieert om deze in de PDF-tool te plakken, bewaart het klembord die afbeeldingsgegevens totdat deze worden overschreven door een volgende kopieerbewerking of totdat het systeem wordt afgesloten. In Windows kan de klembordgeschiedenisfunctie die in recente versies is geïntroduceerd, klembordgegevens behouden bij opnieuw opstarten, waardoor deze retentievector nog persistenter wordt dan in eerdere versies van het besturingssysteem. Het uitschakelen van de klembordgeschiedenis op gedeelde computers die worden gebruikt voor het ondertekenen van documenten is een aanbevolen beheerconfiguratie.
Voor organisaties die gedeelde werkstations specifiek uitrusten voor documentverwerkingstaken, vermindert het implementeren van een browser die is geconfigureerd met een verplicht beleid voor privé browsen, uitgeschakelde downloadgeschiedenis en automatische sessiebeëindiging na een periode van inactiviteit het resterende gegevensrisico aanzienlijk, zonder dat individuele gebruikers elke stap van de beveiligde sessieworkflow hoeven te onthouden. De administratieve investering in het versterken van de gedeelde werkstationomgeving loont zich bij elke gebruikerssessie en is niet afhankelijk van het beveiligingsbewustzijn en de toewijding van elke individuele gebruiker.